No dia 1º de abril, a exchange descentralizada de perpétuos baseada em Solana, o Drift Protocol, confirmou uma violação de segurança ativa que resultou na perda de aproximadamente US$ 280 milhões em fundos dos usuários. Minutos após detectar transações on-chain irregulares, a equipe do Drift suspendeu todos os depósitos e saques e mobilizou seus parceiros de segurança para conter o incidente. O relatório pós-mortem do Drift posteriormente revelou que o atacante explorou um mecanismo de nonce durável previamente assinado para executar transações atrasadas sem detecção. Essa abordagem permitiu que o ator malicioso atraísse signatários multisig a aprovarem o que parecia ser operações administrativas legítimas, acionando uma violação de limiar instantânea.
A violação ocorreu em duas etapas. Primeiro, o explorador obteve duas das cinco assinaturas exigidas para o novo endereço multisig do protocolo, que havia sido implantado apenas dias antes como parte de uma atualização planejada. Um signatário remanescente do multisig anterior, inadvertidamente, manteve o acesso, e o atacante comprometeu dois signatários adicionais por meio de falhas operacionais direcionadas. Em uma janela de timelock de zero segundos, o atacante enviou e aprovou uma proposta transferindo todos os ativos do cofres de liquidez do Drift — que incluem USDC, Bitcoin embrulhado, Ethereum embrulhado e outros tokens SPL — para uma carteira externa.
A análise de blockchain pela Elliptic e pela CertiK indicou que os fundos foram transferidos por meio do Cross-Chain Transfer Protocol (CCTP) da Circle para Ethereum minutos após o saque. A inteligência de ameaças da Elliptic sinalizou endereços de carteira previamente ligados a campanhas de cibercrime patrocinadas pelo governo da Coreia do Norte. Explorações históricas da DPRK, incluindo o hack Wormhole de US$ 1,5 bilhão em 2022 e o incidente Bybit de US$ 2 bilhões em fevereiro de 2025, apresentam semelhanças comportamentais: dependência de nonces duráveis ou janelas de atraso temporal e priorização de fluxos de stablecoins com alta liquidez.
Os interessados no setor responderam rapidamente. A Solana Foundation iniciou uma auditoria de código sobre o manejo de nonces duráveis, enquanto a Circle pausou os nós legados de roteamento em malha para evitar novas pontes não autorizadas de USDC. O Drift Protocol acionou autoridades, incluindo a National Cryptocurrency Enforcement Team do Departamento de Justiça dos EUA, para rastrear ativos roubados em plataformas centralizadas e descentralizadas. As opções de recuperação on-chain permanecem limitadas, mas a governança do protocolo propôs um plano de recuperação de colateral financiado por pools de seguro do ecossistema.
O ataque destaca vulnerabilidades persistentes em esquemas de assinatura múltipla e o elemento humano na segurança operacional. O fundador do Drift anunciou planos de integrar soluções de gerenciamento de chaves baseadas em hardware e exigir aprovações de várias partes por meio de esquemas de assinatura por limiar (TSS) com timelocks estendidos. À medida que os TVLs de DeFi ultrapassam US$ 200 bilhões em várias redes, o hack do Drift serve como um lembrete de que a higiene de governança e os controles de risco entre cadeias são cruciais para proteger a infraestrutura financeira descentralizada.
Comentários (0)